---
title: "チャレンジレスポンス認証とは？パスワードを送らない認証の仕組み【SG試験】"
description: "チャレンジレスポンス認証を、サーバが毎回異なる乱数を送り、利用者側が秘密情報と組み合わせた応答値を返して本人確認する方式として整理します。パスワード自体を通信路へ流さず、過去の応答値の再利用を防ぐ仕組みを押さえ、単なるパスワード暗号化、多要素認証、固定応答を返す方式とする誤答を判別します。"
last_modified_at: "2026-07-14"
canonical_url: "https://stemtazoo.github.io/sg/challenge-response-authentication/"
section: "sg"
---

## まず結論
チャレンジレスポンス認証は、パスワードそのものを送らずに、サーバからの問い（チャレンジ）に対する計算結果（レスポンス）で本人確認を行う仕組みです。  
SG試験では「パスワードを直接送るかどうか」を見極める問題で問われます。

---

## 直感的な説明
「合言葉をそのまま言わない認証」です。

例えば：
- サーバ：「今日の合言葉は？」（チャレンジ）  
- 利用者：合言葉を元に計算した答えを返す（レスポンス）

👉 合言葉そのものは一度も送られない

つまり、
**盗み見されてもパスワードがバレない仕組み**です。

---

## 定義・仕組み
チャレンジレスポンス認証（Challenge-Response Authentication）は、サーバが送るランダムな値（チャレンジ）と、利用者が持つ秘密情報（パスワードなど）を使って計算した結果で認証する方式です。

### 基本の流れ
1. サーバがランダムな値（チャレンジ）を送る  
2. クライアントがパスワード＋チャレンジで計算  
3. 計算結果（レスポンス）をサーバへ送信  
4. サーバ側でも同じ計算をして一致すれば認証成功  

### 重要ポイント
- パスワードは通信に流れない  
- 毎回チャレンジが変わる（再利用防止）

👉 盗聴・リプレイ攻撃（なりすまし）対策になる

---

## どんな場面で使う？
主に「通信経路での盗聴リスクがある場合」に使われます。

### よくある利用例
- ネットワーク認証（PPP、Wi-Fiなどの一部方式）
- 古いシステムの認証方式
- セキュリティを意識した認証プロトコル

### 使うべき場面
- パスワードをそのまま送信したくない
- 通信が盗聴される可能性がある

### 注意が必要な場面
- 現在はTLSなどの通信暗号化が普及  
→ 単体ではなく、他の対策と組み合わせることが多い

---

## よくある誤解・混同
SG試験ではここが重要です。

### ❌ 誤解1：パスワードを暗号化して送る方式
→ **違う**

- 暗号化：パスワードを変換して送る  
- チャレンジレスポンス：そもそも送らない  

👉 発想が違う

---

### ❌ 誤解2：多要素認証と同じ
→ **違う**

- チャレンジレスポンス：通信方法の工夫  
- 多要素認証：認証要素を増やす  

👉 目的が違う（盗聴対策 vs 強度向上）

---

### ❌ 誤解3：リプレイ攻撃に弱い
→ **間違い**

- 毎回チャレンジが変わる  
→ 同じレスポンスは使えない  

👉 リプレイ攻撃対策になる

---

### SG試験のひっかけパターン
- 「パスワードをそのまま送る」→ ❌  
- 「パスワードを暗号化して送る」→ ❌（本質ではない）  
- 「パスワードを送らずに認証する」→ ⭕  
- 「毎回異なる値を使う」→ ⭕  

---

## まとめ（試験直前用）
- チャレンジレスポンス＝パスワードを送らない認証  
- ランダム値＋パスワードで計算した結果で確認  
- 盗聴・リプレイ攻撃対策になる  
- 暗号化との違いは「送るか送らないか」  
- 「パスワードが通信に流れるか」で選択肢を切る